Auditoria informática: conceitos básicos

Quase toda a informação financeira de uma empresa passa hoje por sistemas informáticos: facturação, ERP, banca electrónica, folha de salários. Por isso, o auditor tem de perceber se esses sistemas são fiáveis. A auditoria informática avalia os controlos sobre a tecnologia e usa a tecnologia para auditar melhor.

O que é e porque importa

A auditoria informática (ou de sistemas de informação) examina a infra-estrutura, as aplicações e os processos de TI para avaliar se protegem a integridade, a confidencialidade e a disponibilidade da informação, e se produzem dados financeiros fiáveis. Num contexto de auditoria de contas, interessa sobretudo perceber o risco de que falhas nos sistemas levem a distorções nas demonstrações financeiras.

Um erro de configuração no sistema de facturação pode afectar milhares de transacções de uma só vez, ao contrário de um erro manual isolado. Por isso, o auditor precisa de testar não só os números, mas também o sistema que os produz.

Controlos gerais de TI

Os controlos gerais aplicam-se a todo o ambiente de sistemas e suportam o funcionamento fiável das aplicações. As quatro áreas clássicas são:

• Gestão de acessos: contas individuais, palavras-passe fortes, autenticação adicional, revisão periódica de permissões, remoção imediata de acessos de quem sai.
• Gestão de alterações: toda a alteração a programas ou configurações é pedida, testada, aprovada e documentada antes de passar a produção.
• Operações de TI: processamento agendado, monitorização de falhas, cópias de segurança e testes de recuperação.
• Desenvolvimento e aquisição de sistemas: requisitos, testes, migração de dados e formação de utilizadores.

Se estes controlos falham, perde-se a base para confiar nos controlos automáticos das aplicações.

Controlos de aplicação

• Entrada: validações de campos, limites, impossibilidade de duplicar facturas com o mesmo número.
• Processamento: cálculos automáticos de IVA, depreciações, bloqueio de crédito a clientes acima do limite.
• Saída: relatórios completos, reconciliados com os registos, e restrição de quem os edita.
• Interfaces: transferência de dados entre sistemas (por exemplo, folha de salários para contabilidade) com verificação de totais.

Os controlos automáticos, quando os gerais são fiáveis, funcionam de forma consistente: se o teste mostra que o cálculo está correcto, é de esperar que esteja correcto em todas as transacções, o que permite testes menores do que em controlos manuais.

Exemplo: acessos e segregação de funções

Num ERP, um utilizador consegue criar fornecedores, aprovar facturas e emitir pagamentos. Esta combinação permite criar um fornecedor fictício e pagar-lhe. O auditor extrai a lista de utilizadores e perfis, cruza-a com uma matriz de funções incompatíveis e reporta os conflitos. Resposta típica: redefinir perfis, introduzir aprovação em duas etapas e rever as transacções feitas por esse utilizador. Este exemplo mostra como a auditoria informática serve directamente a prevenção de fraude contabilística.

Técnicas de auditoria assistidas por computador

• Análise de dados: extrair toda a população de lançamentos e procurar padrões, como valores redondos, lançamentos ao fim de semana, números duplicados ou sequências quebradas.
• Teste de lançamentos manuais: filtrar os de valor elevado, feitos por utilizadores incomuns ou perto do fecho.
• Recálculo automático de depreciações, juros e antiguidade de saldos.
• Comparação de ficheiros entre períodos ou entre sistemas.
• Dados de teste e reexecução para confirmar controlos automáticos.

Com estas ferramentas, o auditor pode examinar 100% de uma população em vez de uma amostra, o que muda o paradigma da amostragem. Ferramentas básicas como Excel já permitem muita coisa; software especializado ajuda em bases de grande dimensão.

Continuidade, cópias de segurança e segurança

• Cópias de segurança regulares, guardadas fora do local principal, e testes periódicos de restauro.
• Plano de continuidade e recuperação de desastres, com objectivos de tempo e de perda de dados definidos.
• Protecção contra programas maliciosos, actualizações de segurança e segmentação de redes.
• Cifragem de dados sensíveis e controlo de dispositivos móveis.
• Gestão de prestadores externos e de serviços na nuvem, com cláusulas contratuais e relatórios de garantia independentes.

Muitos países têm legislação sobre protecção de dados pessoais, como o RGPD na União Europeia, aplicável em Portugal, e legislação própria em Angola; as obrigações específicas variam e mudam com o tempo, por isso confirme na lei em vigor.

Como começar a estudar e a praticar

1. Aprenda o vocabulário: controlos gerais, de aplicação, perfis, segregação de funções, trilhos de auditoria.
2. Exercite análise de dados em folha de cálculo com um extracto de lançamentos.
3. Leia sobre referenciais de governação de TI, como o COBIT, e de segurança da informação, como a série ISO 27000, para ter uma visão geral.
4. Considere certificações profissionais da área, como CISA, conforme o seu percurso.
5. Pratique a pergunta central: se este sistema falhasse, que erro teria nas contas, e como saberia?

Exercício de análise de dados

Tem um ficheiro com 20 000 lançamentos contabilísticos do ano. Descreva que filtros aplicaria para seleccionar lançamentos de risco.

• Lançamentos manuais (não gerados por módulos automáticos) de valor superior à materialidade de execução.
• Lançamentos registados ao fim de semana, feriados ou fora do horário normal.
• Lançamentos com valores redondos, repetidos ou imediatamente abaixo de um limite de aprovação.
• Lançamentos feitos por utilizadores que normalmente não registam nessas contas.
• Lançamentos nos últimos dias do ano e nos primeiros do seguinte que reverteram os efeitos.
• Contas de utilização rara, com descrições vagas ou em branco.

Cada filtro corresponde a um risco: ultrapassagem de controlos pela gestão, manipulação de resultados e erros de corte. O auditor investiga os itens seleccionados, pede explicações e inspecciona o suporte documental. Este tipo de teste é obrigatório, em linhas gerais, em todas as auditorias de demonstrações financeiras, precisamente porque o risco de ultrapassagem de controlos existe sempre.

Conteúdo educativo, de carácter geral. Regras contabilísticas e fiscais variam de país para país e mudam com o tempo: confirme sempre na norma ou na lei em vigor.

Também pode interessar: Todos os artigos Auditoria Gestão documental Mais sobre: Análise financeira e auditoria avançada Normas Internacionais de Auditoria (ISA): visão geral Independência do auditor: porque é tão importante Casos reais de fraude e lições para estudantes